Σύνοψη
Υπάρχει θέμα ευπάθειας παράκαμψης ασφαλείας στον τρόπο με τον οποίο η σύνδεση κλήσης απομακρυσμένης διαδικασίας εκτυπωτή (RPC) χειρίζεται τον έλεγχο ταυτότητας για την απομακρυσμένη διασύνδεση Winspool. Το Windows Update αντιμετωπίζει αυτήν την ευπάθεια αυξάνοντας το επίπεδο ελέγχου ταυτότητας RPC και εισάγοντας μια νέα πολιτική και κλειδί μητρώου που επιτρέπει στους πελάτες να απενεργοποιήσουν ή να ενεργοποιήσουν τη λειτουργία επιβολής από την πλευρά του διακομιστή για να αυξήσουν το επίπεδο ελέγχου ταυτότητας.
Για να μάθετε περισσότερα σχετικά με την ευπάθεια, ανατρέξτε στο CVE-2021-1678 | Ευπάθεια πλαστογράφησης ουράς εκτύπωσης των Windows.
|
Αναλάβετε δράση Για να προστατεύσετε το περιβάλλον σας και να αποτρέψετε τις διακοπές λειτουργίας, πρέπει να κάνετε τα εξής:
|
|---|
Χρονισμός των ενημερώσεων
Αυτές οι ενημερώσεις των Windows θα κυκλοφορήσουν σε δύο φάσεις:
- Η αρχική φάση ανάπτυξης για ενημερώσεις των Windows που κυκλοφόρησαν στις ή μετά τις 12 Ιανουαρίου 2021.
- Η φάση επιβολής για τις ενημερώσεις των Windows που θα κυκλοφορήσουν σε κάποια μελλοντική ημερομηνία.
12 Ιανουαρίου 2021: Αρχική φάση ανάπτυξης
Η αρχική φάση ανάπτυξης ξεκινά με την ενημέρωση των Windows που κυκλοφόρησε στις 12 Ιανουαρίου 2021, παρέχοντας τη δυνατότητα στους πελάτες διακομιστών να ενεργοποιήσουν αυτό το αυξημένο επίπεδο ασφάλειας μόνοι τους, ανάλογα με την ετοιμότητα του περιβάλλοντός τους.
Αυτή η έκδοση:
- Αντιμετωπίζει CVE-2021-1678 (στη λειτουργία ανάπτυξης που έχει ρυθμιστεί σε Ανενεργό από προεπιλογή).
- Προσθέτει υποστήριξη για την τιμή μητρώου RpcAuthnLevelPrivacyEnabled για να ενεργοποιήσετε την αύξηση του επιπέδου εξουσιοδότησης για την προστασία IRemoteWinspool εκτυπωτή.
Ο μετριασμός συνίσταται στην εγκατάσταση των ενημερώσεων των Windows σε όλες τις συσκευές σε επίπεδο πελάτη και διακομιστή.
14 Σεπτεμβρίου 2021: Φάση επιβολής
Η έκδοση μεταβαίνει στη φάση επιβολής στις 14 Σεπτεμβρίου 2021. Η φάση επιβολής επιβάλλει τις αλλαγές για την αντιμετώπιση του CVE-2021-1678, αυξάνοντας το επίπεδο εξουσιοδότησης χωρίς να χρειάζεται να ορίσετε την τιμή μητρώου.
Οδηγίες εγκατάστασης
Πριν από την εγκατάσταση αυτής της ενημέρωσης
Πρέπει να έχετε εγκαταστήσει τις ακόλουθες απαιτούμενες ενημερώσεις πριν να εφαρμόσετε αυτήν την ενημερωμένη έκδοση. Εάν χρησιμοποιείτε Windows Update, αυτές οι απαιτούμενες ενημερώσεις θα σας προσφερθούν ανάλογα με τις ανάγκες σας.
- Πρέπει να έχετε εγκατεστημένη την ενημέρωση SHA-2 (KB4474419) που κυκλοφόρησε στις 23 Σεπτεμβρίου 2019 ή μια νεότερη ενημέρωση SHA-2 εγκατεστημένη και, στη συνέχεια, να επανεκκινήσετε τη συσκευή σας προτού εφαρμόσετε αυτήν την ενημέρωση. Για περισσότερες πληροφορίες σχετικά με τις ενημερώσεις SHA-2, ανατρέξτε στο θέμα Απαίτηση υποστήριξης υπογραφής κώδικα SHA-2 2019 για τα Windows και το WSUS.
- Για Windows Server 2008 R2 SP1, πρέπει να έχετε εγκαταστήσει την ενημέρωση στοίβας συντήρησης (SSU) (KB4490628) που κυκλοφόρησε στις 12 Μαρτίου 2019. Μετά την εγκατάσταση της ενημέρωσης KB4490628 , συνιστούμε να εγκαταστήσετε την πιο πρόσφατη ενημέρωση SSU. Για περισσότερες πληροφορίες σχετικά με την πιο πρόσφατη ενημέρωση SSU, ανατρέξτε στο θέμα ADV990001 | Τελευταία Ενημερώσεις στοίβας συντήρησης.
- Για Windows Server 2008 SP2, πρέπει να έχετε εγκαταστήσει την ενημέρωση στοίβας συντήρησης (SSU) (KB4493730) που κυκλοφόρησε στις 9 Απριλίου 2019. Μετά την εγκατάσταση της ενημέρωσης KB4493730 , συνιστούμε να εγκαταστήσετε την πιο πρόσφατη ενημέρωση SSU. Για περισσότερες πληροφορίες σχετικά με τις πιο πρόσφατες ενημερώσεις SSU, ανατρέξτε στο θέμα ADV990001 | Τελευταία Ενημερώσεις στοίβας συντήρησης.
- Οι πελάτες πρέπει να αγοράσουν το πρόγραμμα Εκτεταμένων ενημερώσεων ασφάλειας (ESU) για εκδόσεις εσωτερικής εγκατάστασης του Windows Server 2008 SP2 ή του Windows Server 2008 R2 SP1, μετά τη λήξη της εκτεταμένης υποστήριξης στις 14 Ιανουαρίου 2020. Οι πελάτες που έχουν αγοράσει το ESU πρέπει να ακολουθήσουν τις διαδικασίες στο KB4522133 για να συνεχίσουν να λαμβάνουν ενημερώσεις ασφαλείας. Για περισσότερες πληροφορίες σχετικά με το ESU και τις εκδόσεις που υποστηρίζονται, ανατρέξτε στο άρθρο KB4497181.
Σημαντικό Πρέπει να επανεκκινήσετε τη συσκευή σας μετά την εγκατάσταση αυτών των απαιτούμενων ενημερώσεων.
Εγκατάσταση ενημέρωσης
Για να επιλύσετε την ευπάθεια ασφαλείας, εγκαταστήστε τις ενημερώσεις των Windows και ενεργοποιήστε τη λειτουργία επιβολής , ακολουθώντας τα εξής βήματα:
- Αναπτύξτε την ενημέρωση της 12ης Ιανουαρίου 2021 σε όλες τις συσκευές-πελάτες και διακομιστές.
- Αφού ενημερωθούν όλες οι συσκευές πελάτη και διακομιστή, μπορεί να ενεργοποιηθεί η πλήρης προστασία ορίζοντας την τιμή μητρώου σε 1.
Βήμα 1: Εγκαταστήστε την ενημέρωση των Windows
Εγκαταστήστε την ενημέρωση Windows της 12ης Ιανουαρίου 2021 ή μια νεότερη ενημέρωση των Windows σε όλες τις συσκευές-πελάτες και τους διακομιστές.
Ενημερώσεις της 12ης Ιανουαρίου 2021
| Windows Server προϊόντος | KB # | Τύπος ενημέρωσης |
|---|---|---|
| Windows Server, έκδοση 20H2 (Εγκατάσταση Server Core) | 4598242 | Ενημέρωση ασφαλείας |
| Windows Server, έκδοση 2004 (εγκατάσταση Server Core) | 4598242 | Ενημέρωση ασφαλείας |
| Windows Server, έκδοση 1909 (εγκατάσταση Server Core) | 4598229 | Ενημέρωση ασφαλείας |
| Windows Server, έκδοση 1903 (εγκατάσταση Server Core) | 4598229 | Ενημέρωση ασφαλείας |
| Windows Server 2019 (εγκατάσταση Server Core) | 4598230 | Ενημέρωση ασφαλείας |
| Windows Server 2019 | 4598230 | Ενημέρωση ασφαλείας |
| Windows Server 2016 (εγκατάσταση Server Core) | 4598243 | Ενημέρωση ασφαλείας |
| Windows Server 2016 | 4598243 | Ενημέρωση ασφαλείας |
| Windows Server 2012 R2 (εγκατάσταση Server Core) | 4598285 | Μηνιαία συνάθροιση |
| 4598275 | Αποκλειστικά για την ασφάλεια | |
| Windows Server 2012 R2 | 4598285 | Μηνιαία συνάθροιση |
| 4598275 | Αποκλειστικά για την ασφάλεια | |
| Windows Server 2012 (εγκατάσταση Server Core) | 4598278 | Μηνιαία συνάθροιση |
| 4598297 | Αποκλειστικά για την ασφάλεια | |
| Windows Server 2012 | 4598278 | Μηνιαία συνάθροιση |
| 4598297 | Αποκλειστικά για την ασφάλεια | |
| Windows Server 2008 R2 Service Pack 1 | 4598279 | Μηνιαία συνάθροιση |
| 4598289 | Αποκλειστικά για την ασφάλεια | |
| Windows Server 2008 Service Pack 2 | 4598288 | Μηνιαία συνάθροιση |
| 4598287 | Αποκλειστικά για την ασφάλεια |
Βήμα 2: Ενεργοποίηση λειτουργίας επιβολής
Σημαντικό Αυτή η ενότητα, μέθοδος ή εργασία περιέχει βήματα που σας δείχνουν πώς μπορείτε να τροποποιήσετε το μητρώο. Ωστόσο, εάν αλλάξετε εσφαλμένα το μητρώο, ενδέχεται να προκύψουν σοβαρά προβλήματα. Οπότε, ακολουθήστε προσεκτικά τα παρακάτω βήματα. Για επιπλέον προστασία, δημιουργήστε ένα αντίγραφο ασφαλείας του μητρώου, πριν το αλλάξετε. Στη συνέχεια, θα μπορέσετε να επαναφέρετε το μητρώο, εάν προκύψει κάποιο πρόβλημα. Για περισσότερες πληροφορίες σχετικά με τον τρόπο δημιουργίας αντιγράφων ασφαλείας και επαναφοράς του μητρώου, ανατρέξτε στο θέμα Τρόπος δημιουργίας αντιγράφων ασφαλείας και επαναφοράς του μητρώου στα Windows.
Μετά την ενημέρωση όλων των συσκευών πελάτη και διακομιστή, μπορείτε να ενεργοποιήσετε την πλήρη προστασία αναπτύσσοντας τη λειτουργία επιβολής . Για να το κάνετε αυτό, ακολουθήστε τα παρακάτω βήματα:
- Κάντε δεξιό κλικ στο κουμπί Έναρξη, κάντε κλικ στην επιλογή Εκτέλεση, πληκτρολογήστε cmd στο πλαίσιο Εκτέλεση και, στη συνέχεια, πατήστε το πλήκτρο Ctrl+Shift+Enter.
- Στη γραμμή εντολών διαχειριστή, πληκτρολογήστε regedit και, στη συνέχεια, πιέστε το πλήκτρο Enter.
- Εντοπίστε το ακόλουθο δευτερεύον κλειδί μητρώου:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Print
- Κάντε δεξιό κλικ στο στοιχείο Εκτύπωση, επιλέξτε Δημιουργία και, στη συνέχεια, κάντε κλικ στην επιλογή Τιμή DWORD VALUE (32-bit).
- Πληκτρολογήστε RpcAuthnLevelPrivacyEnabled και, στη συνέχεια, πιέστε το πλήκτρο Enter.
- Κάντε δεξιό κλικ στο RpcAuthnLevelPrivacyEnabled και, στη συνέχεια, κάντε κλικ στο κουμπί Τροποποίηση.
- Στο πλαίσιο " δεδομένα τιμής ", πληκτρολογήστε 1 και, στη συνέχεια, κάντε κλικ στο κουμπί OK.
Σημείωση Αυτή η ενημερωμένη έκδοση εισάγει υποστήριξη για την τιμή μητρώου RpcAuthnLevelPrivacyEnabled για να αυξήσετε το επίπεδο εξουσιοδότησης για εκτυπωτή IRemoteWinspool.
| Δευτερεύον κλειδί μητρώου | HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Print |
|---|---|
| Τιμή | RpcAuthnLevelPrivacyEnabled |
| Τύπος δεδομένων | REG_DWORD |
| Δεδομένα |
1: Ενεργοποιεί τη λειτουργία επιβολής . Προτού ενεργοποιήσετε τη λειτουργία επιβολής για την πλευρά του διακομιστή, βεβαιωθείτε ότι όλες οι συσκευές-πελάτες έχουν εγκαταστήσει την ενημέρωση των Windows που κυκλοφόρησε στις 12 Ιανουαρίου 2021 ή μια νεότερη ενημέρωση των Windows. Αυτή η επιδιόρθωση αυξάνει το επίπεδο εξουσιοδότησης για τη διασύνδεση IRemoteWinspool RPC του εκτυπωτή και προσθέτει μια νέα πολιτική και τιμή μητρώου στην πλευρά του διακομιστή για να επιβάλει στον υπολογιστή-πελάτη να χρησιμοποιήσει το νέο επίπεδο εξουσιοδότησης, εάν εφαρμοστεί η λειτουργία επιβολής . Εάν στη συσκευή-πελάτη δεν έχει εφαρμοστεί η ενημέρωση ασφαλείας της 12ης Ιανουαρίου 2021 ή μεταγενέστερη ενημέρωση των Windows, η εμπειρία εκτύπωσης θα διακοπεί όταν ο υπολογιστής-πελάτης συνδεθεί στον διακομιστή μέσω της διασύνδεσης IRemoteWinspool . 0: Δεν συνιστάται. Απενεργοποιεί την αύξηση του επιπέδου ελέγχου ταυτότητας για τον εκτυπωτή IRemoteWinspool και οι συσκευές σας δεν προστατεύονται. |
| Προεπιλογή | Προεπιλεγμένη συμπεριφορά μετά την εγκατάσταση ενημερώσεων όταν δεν έχει οριστεί κλειδί μητρώου:
|
| Απαιτείται επανεκκίνηση; | Ναι, απαιτείται επανεκκίνηση της συσκευής ή επανεκκίνηση της υπηρεσίας ουράς εκτυπώσεων. |